Se a rolagem automática do certificado estiver habilitada, o AD FS gerenciará a atualização do Certificado de Autenticação ...

Se a rolagem automática do certificado estiver habilitada, o AD FS gerenciará a atualização do Certificado de Autenticação de Tokens.
Se você gerenciar seu certificado manualmente, siga as instruções abaixo. 
Obtenha um novo Certificado de Autenticação de Tokens.
Verifique se o Uso Avançado de Chave (EKU) inclui "Assinatura Digital". 
O Nome da Entidade ou Nome Alternativo da Entidade (SAN) não têm restrições. 
Lembre-se de que seus Servidores de Federação, seus Servidores de Federação do Parceiro de Recursos e servidores de Aplicativo de Terceira Parte Confiável precisam poder encadear para uma autoridade de certificado raiz confiável ao validar seu Certificado de Autenticação de Tokens.
Instale o certificado no repositório de certificados local em cada Servidor de Federação. 
Verifique se o arquivo de instalação do certificado tem a Chave Privada do certificado em cada servidor.
Verifique se a Conta do Serviço de Federação tem acesso a chave privada do novo certificado.
Adicione o novo certificado ao AD FS.
Inicie o Gerenciamento do AD FS no menu Ferramentas Administrativas.
Expanda Serviço e selecione Certificados
No painel Ações, clique em Adicionar Certificado de Autenticação de Tokens...
Você será apresentado com uma lista de certificados que são válidos para Autenticação de Tokens. Se você descobrir que seu novo certificado não está sendo apresentado na lista, pode ser necessário voltar e garantir que o certificado esteja no repositório Pessoal do computador local com a chave privada associada e que o certificado tenha KU de Assinatura Digital.
Selecione seu novo Certificado de Autenticação de Tokens e clique em OK
Informe todas as Partes Confiáveis sobre a mudança no Certificado de Autenticação de Tokens.
As Partes Confiáveis que consumem metadados de federação do AD FS devem obter os novos Metadados de Federação para começar a usar o novo certificado.
As Partes Confiáveis que NÃO consomem metadados de federação do AD FS devem atualizar manualmente a chave pública do novo Certificado de Autenticação de Tokens. Compartilhe o arquivo .cer com as Partes Confiáveis.
Defina o novo Certificado de Autenticação de Tokens como Principal.
Com o nó Certificados no Gerenciamento do AD FS selecionado, você deve agora ver dois certificados listados na Autenticação de Tokens: o certificado novo e o certificado existente.
Selecione seu novo Certificado de Autenticação de Tokens, clique com o botão direito do mouse e selecione Definir como principal
Deixe o certificado antigo como secundário para fins de rolamento. Você deve planejar remover o certificado antigo quando tiver certeza de que não é mais necessário para rolagem ou quando o certificado expirar. Lembre-se de que as sessões de SSO dos usuários atuais são assinadas. As relações de Confiança de Proxy do AD FS atual utilizam tokens que são assinados e criptografados usando o certificado antigo.